Asegurar los encabezados HTTP

7

En este artículo , el ejemplo muestra

... HttpOnly;Secure

Sin embargo, una comprobación en la respuesta de mi servidor se muestra

... Secure;HttpOnly

Esta puede ser una pregunta estúpida pero, ¿el orden importa?

gracias

    
pregunta Pang Ser Lark 22.04.2015 - 10:32
fuente

1 respuesta

6

Según RFC 6265 sección 5.2 , los atributos individuales del encabezado Set-Cookie se procesan en independientemente del orden en que se encuentren, y la Secure y HttpOnly se usan simplemente para establecer valores discretos sin referencia o relación entre los dos:

  
  1. Si la lista de atributos de cookie contiene un atributo con un       nombre de atributo de "Seguro", establezca la marca de seguridad de la cookie solo en       cierto. De lo contrario, establezca la marca de seguridad de la cookie solo en falso.

  2.   
  3. Si la lista de atributos de cookie contiene un atributo con un       nombre de atributo de "HttpOnly", establezca el indicador de solo-http de la cookie en       cierto. De lo contrario, establezca la bandera de solo-http de la cookie en falso.

  4.   

Entonces, no, de acuerdo con el RFC, el orden en el que están listados no importa. Cada uno establecerá una sola bandera, independientemente de si el otro está ausente, presente o en un orden variable.

Tampoco he oído hablar de una implementación que se haya preocupado por el pedido (aunque estoy seguro de que algo, en alguna parte, se equivoca, no me preocuparía).

Tenga en cuenta que esta es una pregunta ligeramente diferente a el que @BadSkillz hizo referencia en su comentario, que tiene que ver con el orden de los encabezados; Esto tiene que ver con el orden de los campos dentro de un encabezado particular.

...

Completamente casualmente, yo habilitó las marcas de Seguridad y HttpOnly para las cookies ASM F5 en uno de mis sistemas hoy. El F5 ASM incluirá dos cookies para ayudar a hacer su magia WAF-y. Tan pronto como lo habilité, lo probé y estas son las cookies que enviaron (... para ancho):

Set-Cookie: TS01145f87=01ca34131874c763...6207; Path=/; Secure; HTTPOnly 
Set-Cookie: TS013fdbf2=01ca341318b0cba9...b198; path=/ui/; HTTPonly; Secure

Entonces, para dos cookies establecidas por una pieza de software con un punto de configuración, terminó con diferentes órdenes para los atributos.

    
respondido por el gowenfawr 22.04.2015 - 13:55
fuente

Lea otras preguntas en las etiquetas